Vulnerație severă descoperită în OpenClaw: un nou risc pentru utilizatori
O vulnerabilitate de înaltă severitate a fost identificată în platforma OpenClaw, un asistent personal bazat pe inteligență artificială care funcționează pe dispozitivele utilizatorilor. Această problemă, denumită CVE-2026-25253, permite executarea de cod de la distanță prin intermediul unei legături manipulate, punând în pericol datele a mii de utilizatori.
Într-un document de avertizare, creatorul OpenClaw, Peter Steinberger, a declarat că “Control UI-ul are încredere în gatewayUrl din stringul de interogare fără validare, conectându-se automat la încărcare și trimis tokenul de gateway stocat în payload-ul de conectare WebSocket.” Această simplă neglijență poate permite atacatorilor să deturneze tokenul utilizatorului și să obțină acces neautorizat.
Impactul vulnerabilității asupra utilizatorilor
Cercetători de la compania de securitate informatică DepthFirst, inclusiv Mav Levin, care a descoperit problema, susțin că tot ce trebuie să facă un utilizator este să acceseze o pagină web rău intenționată. “Exploatarea poate genera o succesiune de atacuri RCE într-o fracțiune de secundă după ce victima vizitează acea pagină”, a explicat Levin.
Mai mult, atacatorii pot manipula configurațiile utilizatorilor prin intermediul tokenului furat, inclusiv dezactivarea notificărilor de confirmare. Astfel, un atacator ar putea să execute comenzi directe pe mașina victimelor, fugarind restricțiile impuse de mediu, ca de exemplu Docker.
O soluție rapidă, dar insuficientă
Steinberger a lansat o actualizare, versiunea 2026.1.29, pe 30 ianuarie 2026, pentru a corecta această vulnerabilitate. Cu toate acestea, analiștii subliniază că problema este cu mult mai profundă decât s-ar părea la prima vedere. Levin a menționat că “sistemele de apărare au fost concepute pentru a preveni acțiunile malițioase ale unui LLM (model de limbaj mare), dar nu protejează împotriva acestei vulnerabilități.”
Chiar și sistemele care par a fi protejate prin configurații stricte pot fi compromise, deoarece browserul victimei inițiază conexiuni externe, eludând astfel restricțiile locale. “Aberația aceasta subliniază o limitare arhitecturală fundamentală s-au fost create,” a adăugat Levin.
Ce se întâmplă cu OpenClaw?
OpenClaw a fost lansat inițial în noiembrie 2025 și a câștigat rapid popularitate, însumând peste 149.000 de stele pe GitHub. Platforma se prezintă ca o alternativă la asistenții virtuali bazate pe cloud, punând accent pe confidențialitate. “Setările tale, cheile tale, datele tale,” aflăm din declarațiile lui Steinberger.
Această nouă vulnerabilitate, însă, ar putea să afecteze în mod semnificativ reputația proiectului, având în vedere intensitatea atacurilor posibile. Utilizatorii sunt sfătuiți să fie extrem de precauți în utilizarea platformei până la implementarea unui sistem de securitate mai robust.
OpenClaw se face acum responsabil de asigurarea unui mediu de utilizare sigur, înăsprind protocoalele de conectare pentru a preveni noi astfel de incidente. Cu toate acestea, odată cu evoluția rapidă a tehnologiilor de inteligență artificială, întrebarea despre viitorul său și al altor aplicații similare rămâne deschisă. Utilizatorii trebuie să rămână vigilenți și să se informeze despre cele mai recente actualizări și potențiale riscuri asociate cu aplicațiile pe care le utilizează.
